Anleitung - Einfacher Einstieg in ein googlefreies Shiftphone 8

foto_15

foto_15

Active member
Original poster
7 Juni 2018
58
Hinweis: Dies ist eine erste Version. Ich versuche hier ab und zu nochmal drüber zu schauen und den ersten Beitrag zu aktualisieren. Aktueller Stand: 03.03.2026.
Zum Vergrößern anklicken....


Nach meinem Eindruck starten mit dem Shiftphone 8 gerade einige Leute einen Anlauf in ein google freies Android. Dazu gibt es schon gute Anleitungen hier im Forum, die allerdings entweder schon etwas älter oder zum Einstieg ggf. überfordernd sind. Daher hier mal mein Versuch zum Einstieg in das Thema ein paar Infos zusammenzutragen.

1. Wahl des Betriebssytems (Custom ROM)


Aktuelle Threads hier im Forum zu den Vor- und Nachteilen der verschiedenen Betriebsysteme sind unteranderem:
Anleitung um in ShiftOS-L einige Einstellungen für mehr Datenschutz umzustellen: Anleitung zur datenfreundlichen Installation von ShiftOS-L auf ≥Shift6m... Punkte 12 bis 16.

Externe Quellen:


2. MicroG

Wenn man Apps nutzen möchte, die bestimmte Google Dienste auf dem Gerät voraussetzen, muss man microG installieren. Dies ist ein Nachbau der Google Dienste, wobei weniger Daten an Google geschickt werden. Ob man dies benötigt wird man recht schnell feststellen, wenn man auf bestimmte Apps nicht verzichten möchte, bei denen ohne Google Dienste Push-Benachrichtigungen, Standort o.Ä. nicht funktioniert, oder sie beim Start mit einer Fehlermeldung "Google Play Dienste" nicht installiert abstürzen. Oft schafft microG hier Abhilfe, eine Garantie das alle Apps funktionieren gibt es aber nicht.

  • https://github.com/microg/GmsCore/wiki/Installation
    • Bei einigen googlefreien Betriebsystemen kann man bei der Einrichtung direkt wählen ob man microG nutzen möchte (z.B. iodeOS) oder das notwendige Repository ist in F-Droid bereits hinterlegt.
  • In Shift OS-L kann z.B. über F-Droid direkt microG Services (GmsCore) und microG Companion (FakeStore) installiert werden.
  • Nach der Installation die App microG-Einstellungen öffnen, die notwendigen Berechtigungen vergeben und die Google-Dienste aktivieren, die für eure Apps notwendig sind.
Wenn ihr bei der "Selbstprüfung" auf Nummer sicher gehen wollt, sollten alle Häckchen außer "microG-Dienste-Framework" und "Permission to interact with work profile" angehakt sein.


3. App Stores
Da der offizielle Google Play Store nicht installiert ist, braucht ihr andere Quellen um neue Apps zu installieren.
  • F-Droid
    • Bei vielen der oben genannten Betriebsystemem direkt installiert
    • Große Sammlung an quelloffenen (FOSS) Apps
  • Droid-ify
    • Alternative App um auf F-Droid zuzugreifen, modernere Oberfläche
    • Unter ShiftOS-L direkt vorinstalliert
  • Aurora Store
    • Ermöglicht die Installation von Apps, die nur im offiziellen Google Play Store verfügbar sind
  • Obtanium

4. Alternative Apps

Bei vielen Apps lohnt es sich nach Alternativen zu den großen Anbietern, die eine Menge an Daten sammeln zu schauen. Anlaufpunkte:


5. Backups

Da Fotos, Kalender und Kontakte nichtmehr automatisch über ein Google Account synchronisiert werden, sollte man sich eine Strategie zur Datensicherung überlegen. Ein paar Ideen:

  • Seedvault
    • Ist in vielen der oben genannten Betriebssysteme integriert
    • z.B: ShiftOS-L: Einstellungen -> System -> Sicherung
  • Manuell
    • Regelmäßig die wichtigsten Daten aus Apps exportieren und manuell auf einen PC / Laptop sichern
  • MyPhoneExplorer
    • Programm speziell zur lokalen Sicherung von Daten vom Smartphone
  • DAVx⁵
    • Automatische Synchronisierung von Kalender und Kontakten
    • z.B. mit Nextcloud oder Opencloud
  • Syncthing
    • Automatische Synchronisierung von Ordner / Dateien zwischen mehreren Computern oder Smartphone.
  • ente.io
    • Verschlüsselter Cloudspeicher für Fotos
  • Immich
    • Cloudspeicher für Fotos für selberhosten
  • Synology Drive
    • Wer ein Synology NAS besitzt, kann das auch gut für Backups nutzen
    • Die Android app kann via Obtainium installiert werden





Viel Erfolg in den Einstieg eines Smartphoneleben mit mehr Hoheit über die eigenen Daten :)
 
Zuletzt bearbeitet:
  • Like
  • Love
Reaktionen: rimzu, Daniel, 7irxn und 8 andere
Danke Dir für die ausführliche Zusammenfassung 👍
Das wird sehr hilfreich sein für die nächsten Tage um doch auf die L Version umzustellen.
Dankeschön
 
@Backups Man kann auch das Windows-Programm MyPhoneExplorer verwenden, um die User-Daten, die Kontakte, den Kalender, den Wecker und die APK-Dateien der Apps zu sichern.
Seedvault und Google One nutzen das appseitige Pedant zum deprecreated ADB Backup. ADB Backup funktioniert auf neueren Android-Version (Android 10+) allerdings nicht mehr richtig.
 
  • Like
Reaktionen: JueMei
Dwain Zwerg schrieb:
@Backups: Ich nutze Synology Drive (kann man über das Syno-Repo via Obtainium aktualisieren; man muss natürlich eine Syno besitzen).
Zum Vergrößern anklicken....
Nutzt du da einen reverse proxy, VPN, den online dienst von synology oder hast die Ports so freigeschalten?
Ich hatte das vormals auch so aber aufgrund der seltenen Updates bei den synology apps wieder deaktiviert da ich mir nicht vorstellen konnte dass es da so wenig Sicherheitslücken gibt, dass keine höhere Updatefrequenz nötig wäre.
 
  • Like
Reaktionen: JueMei
Ich mache das Backup nur im Heimnetzwerk. Im Synology Drive kann man einstellen, dass nur HTTPS verwendet werden soll und es ist von der Ersteinrichtung das eigens signierte Zertifikat zwischengespeichert. Sollte also nicht in fremden Netzwerken funktionieren (weil das Zertifikat nicht passt). Somit habe ich nicht das Problem, dass auf Geräte fremder Netze gesichert wird. Zusätzlich habe ich über die LineageOS-Firewall ausgeschlossen, dass bei Nutzung von mobilen Daten oder VPNs gesichert wird (was wegen des Zertifikats natürlich sowieso nicht passieren sollte).
 
  • Like
Reaktionen: JueMei
Dwain Zwerg schrieb:
Ich mache das Backup nur im Heimnetzwerk. Im Synology Drive kann man einstellen, dass nur HTTPS verwendet werden soll und es ist von der Ersteinrichtung das eigens signierte Zertifikat zwischengespeichert. Sollte also nicht in fremden Netzwerken funktionieren (weil das Zertifikat nicht passt). Somit habe ich nicht das Problem, dass auf Geräte fremder Netze gesichert wird. Zusätzlich habe ich über die LineageOS-Firewall ausgeschlossen, dass bei Nutzung von mobilen Daten oder VPNs gesichert wird (was wegen des Zertifikats natürlich sowieso nicht passieren sollte).
Zum Vergrößern anklicken....
Hm, ich denke da besteht ein Missverständnis wie HTTPS funktioniert, dass selbstsignierte Zertifikat verhindert keine Verbindung wenn man woanders ist, dass ist einfach nur eine Art der Zertifizierung (Vertrauensbasis) - jede Webseite kann mit einem selbst signierten oder von einer Vertrauenswürdigen CA zertifizierten Stelle ein Zertifikat erhalten, es würde sich halt nur dein Browser melden und dir mitteilen, dass die Stelle nicht vertrauenswürdig ist, es wird da aber keine Verbindung verhindert.
Die Frage ist ja eher ob Synology drive von außen erreicht werden kann (über welchen Weg auch immer - offener Port in der Firewall, VPN oder den Synology Online Dienst).
Grundsätzlich würde ich davon abraten die Synology online in irgendeiner Form erreichbar zu machen wenn man da nicht genau weiß was man tut (also weder über deren Online Anmeldedienst noch über offene Ports) - maximal VPN (mit 2FA) ist in Ordnung da man hier ja nirgendswo direkt öffentlich angreifbar ist.
Aber so wie ich verstehe hast du die synology ja auch nur lokal freigegeben und nicht online erreichbar gemacht. Das fände ich für mich wieder von Nachtteil da hier die Kalendereinträge nicht aktualisiert werden würden wenn man unterwegs ist.

Da ich bei mir die Freigabe über opnsense mache und dort crowdsec + geoip blocking + zenarmour + 2FA aktiv habe kann ich in den logs sehen wie oft da schon mal scans/angriffe passieren, da vertraue ich den synology basis Diensten zu wenig, hier genug gehärtet zu sein. Und der Dienst wo man sich Online einloggt hat ja das Problem, dass es eine globale Datenbank gibt wo alle Logins liegen, da würde ich als Hacker natürlich auch versuchen Zugriff zu bekommen (ein Angriff, tausende Zugangsdaten).
HTTPS mache ich in dem Falle über ein Wildcart Zertifikat mit einer DNS Challenge, so weit ich weiß konnte das die Synology aber mit den vorhandenen Diensten (als ich diese noch hatte) nicht.
 
  • Like
Reaktionen: JueMei
nau schrieb:
Stelle ein Zertifikat erhalten, es würde sich halt nur dein Browser melden und dir mitteilen, dass die Stelle nicht vertrauenswürdig ist, es wird da aber keine Verbindung verhindert.
Zum Vergrößern anklicken....
Nein. Wenn das Zertifikat nicht passt, verhindert Synology Drive die Verbindung. Synology Drive erwartet genau ein HTTPS-Zertifikat. Nämlich das eigens signierte. Wenn keines vorhanden ist (reine HTTP-Seite) oder ein falsches, wird die Verbindung nicht gehalten und keine Daten werden gesendet.
nau schrieb:
Grundsätzlich würde ich davon abraten die Synology online in irgendeiner Form erreichbar zu machen
Zum Vergrößern anklicken....
Habe ich ja auch nicht. Wie gesagt: Der Drive versucht im gerade eingebuchten Netz die passende 192er-IP-Adresse zu erreichen. Wenn das klappt, versucht er zu kommunizieren. Wenn er ein falsches HTTPS-Zertifikat erhält, bricht er die Verbindung ab, weil ganz offensichtlich falsches Heimnetzwerk.
 
  • Like
Reaktionen: JueMei
vielen Dank für die Zusammenfassung, finde ich echt klasse.

Eine Frage habe ich zu einer App "VVS Mobil" = Verkehrsverbund Stuttgart. Suche ich die in der App Aurora und klicke sie an, erscheint "App für das Gerät nicht verfügbar".
Liegt das an den Einstellungen in microG oder geht die App gar nicht auf dem Shiftphone8?
 
  • Like
Reaktionen: JueMei
Ich habe es gerade getestet und die VVS - Mobil App lässt sich bei mir problemlos installieren und läuft auch.

Ich habe als Installationsprogramm im Aurora Store den MicroG Installer eingestellt. (Falls das einen unterschied machen könnte - aber ich weiss es nicht)
 
  • Like
Reaktionen: JueMei
R.E.D. schrieb:
Ich habe es gerade getestet und die VVS - Mobil App lässt sich bei mir problemlos installieren und läuft auch.

Ich habe als Installationsprogramm im Aurora Store den MicroG Installer eingestellt. (Falls das einen unterschied machen könnte - aber ich weiss es nicht)
Zum Vergrößern anklicken....
wo stelle ich in Aurora den microG Installer ein?
Bei mir steht in den Einstellungen von Aurora "Installation unbekannter Apps" ist ausgegraut. Kann es aber nicht aktivieren?
Bei aurora bin ich allerdings auch anonym angemeldet, liegt es vielleicht daran?
 
Zuletzt bearbeitet:
  • Like
Reaktionen: JueMei
Silkephone schrieb:
wo stelle ich in Aurora den microG Installer ein?
Zum Vergrößern anklicken....
Als erstes solltest du in der MicroG Einstellungen - auf Play Store Dienste - oben rechts die drei Punkte und dann den Regler bei APP Installation zulassen" einschalten.

Danach in den Handy Einstellungen noch die App "MicroG Companion" suchen und in den App Infos das "installieren unbekannter Apps" auf zulassen stellen. (falls das noch nicht auf zugelassen steht)

Dann in den Aurora Store Einstellungen auf Installation tippen - Installationsmethode - dor den MicroG Installer wählen.

Zu guter letzt würde ich das Handy einmal neustarten (weiss nicht ob es tatsächlich nötig ist ,aber schaden tut es nicht😉)
 
Zuletzt bearbeitet:
  • Like
Reaktionen: JueMei
Dwain Zwerg schrieb:
Nein. Wenn das Zertifikat nicht passt, verhindert Synology Drive die Verbindung. Synology Drive erwartet genau ein HTTPS-Zertifikat. Nämlich das eigens signierte. Wenn keines vorhanden ist (reine HTTP-Seite) oder ein falsches, wird die Verbindung nicht gehalten und keine Daten werden gesendet.

Habe ich ja auch nicht. Wie gesagt: Der Drive versucht im gerade eingebuchten Netz die passende 192er-IP-Adresse zu erreichen. Wenn das klappt, versucht er zu kommunizieren. Wenn er ein falsches HTTPS-Zertifikat erhält, bricht er die Verbindung ab, weil ganz offensichtlich falsches Heimnetzwerk.
Zum Vergrößern anklicken....
Ja es bricht vielleicht ab aber kommuniziert trozdem (versucht die IP zu erreichen usw.) das kann auch ausgenutzt werden wenn das jemand wirklich wöllte (MITM bei dem man das https handshake manipuliert). Denke das ist bei einer pirvaten instanz aber unwahrscheinlich, dass jemand da den Aufwand betreibt.
 
Silkephone schrieb:
Bei mir steht in den Einstellungen von Aurora "Installation unbekannter Apps" ist ausgegraut. Kann es aber nicht aktivieren?
Zum Vergrößern anklicken....
Sicherheitsfunktion, weil Android glaubt, dass die Art und Weise der Installation des Aurora Stores spooky war. Wähle Einstellungen > Apps Alle x Apps ansehen > Dreipunktmenü > (keine Ahnung, wie der Dialog heißt), um Android davon zu überzeugen, dass der Aurora Store nicht mehr begrenzt werden soll.
nau schrieb:
Das kann auch ausgenutzt werden wenn das jemand wirklich wöllte (MITM bei dem man das https handshake manipuliert)
Zum Vergrößern anklicken....
Okay. Das heißt, wenn ich ins fremde (z.B. öffentliche Bus-)WLAN gehe, kann der Betreiber relativ einfach den HTTPS-Handshake manipulieren? Ich dachte so ein Man-in-the Middle wäre mit HTTPS (mit Zertifikats-Pinning (der öffentliche Schlüssel ist ja im Client zwischengespeichert)) sehr schwierig. Das führt dann ja HTTPS bzw. Zertifikats-Pinning ad absurdum. BTW: Ich nutze noch ein festgelegtes privates DNS, dem ich vertraue, das ist hier ja aber sowieso irrelevant, weil ich eine IP direkt versuche zu erreichen
 
Zuletzt bearbeitet:
Dwain Zwerg schrieb:
Sicherheitsfunktion, weil Android glaubt, dass die Art und Weise der Installation des Aurora Stores spooky war. Wähle Einstellungen > Apps Alle x Apps ansehen > Dreipunktmenü > (keine Ahnung, wie der Dialog heißt), um Android davon zu überzeugen, dass der Aurora Store nicht mehr begrenzt werden soll.

Okay. Das heißt, wenn ich ins fremde (z.B. öffentliche Bus-)WLAN gehe, kann der Betreiber relativ einfach den HTTPS-Handshake manipulieren? Ich dachte so ein Man-in-the Middle wäre mit HTTPS (mit Zertifikats-Pinning (der öffentliche Schlüssel ist ja im Client zwischengespeichert)) sehr schwierig. Das führt dann ja HTTPS bzw. Zertifikats-Pinning ad absurdum. BTW: Ich nutze noch ein festgelegtes privates DNS, dem ich vertraue, das ist hier ja aber sowieso irrelevant, weil ich eine IP direkt versuche zu erreichen
Zum Vergrößern anklicken....
Wenn du in dem WLAN bist die IP dort existiert und jemand dann sich als der Server ausgibt und dann noch das handshake so manipuliert, dass er ein update vom zertifikat (seinem eigenen dann) entsteht geht es - aber schon sehr viel Aufwand.
Umgehen kannst du das denke nur wenn dein Zertifikat ein von einer root-CA erzeugtes ist und du nur das root-CA importierst (das geht auch lokal so ein root CA zu erzeugen).
Aber selbst da weiß ich nicht ob die synology app das nicht doch erlaubt wenn das ein anderes zertifikat ist - außer du würdest schon beim verbindung aufbauen vor der app prüfen dass nur https trafic mit zertifikaten die in deinem root-CA pfad sind erlauben aber da wüsste ich nicht dass das schon auf netzwerkebene geht.
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Oben Unten